Vídeo chamada não é mais prova: como os deepfakes quebram a confiança corporativa

Em janeiro de 2024, um funcionário do escritório de Hong Kong da empresa britânica de engenharia Arup recebeu um e-mail supostamente do diretor financeiro com uma marca de transação confidencial. O funcionário ficou em dúvida, mas após uma videochamada em que havia cópias sintéticas do diretor e de colegas, ele deixou de duvidar e fez quinze transferências no valor de cerca de 25,6 milhões de dólares em um único dia. O CIO da Arup, Rob Greig, disse mais tarde que criou um deepfake de si mesmo em tempo real em 45 minutos usando software de código aberto, o que demonstra a baixa barreira de entrada. O funcionário agiu corretamente ao tentar verificar a solicitação, mas mudou o canal de comunicação, não a fonte de confiança, pois tanto o e-mail quanto a videoconferência eram controlados pelos mesmos criminosos. Especialistas da 'Garda' e da RTU MIREA preveem uma mudança dos ataques, de vídeos pré-editados para a substituição de voz e imagem em tempo real. O artigo propõe seis regras de proteção: o sigilo da solicitação deve gerar suspeita, a confirmação de ordens incomuns por meio de um canal independente com a participação de uma segunda pessoa, um procedimento multifatorial para operações de grande porte, o registro escrito de decisões que não podem ser tomadas com base em uma única chamada, a mesma lógica para a vida pessoal e a percepção de que vídeo e voz não são mais prova por si só. Também é observado que o NGFW não consegue detectar um deepfake em um fluxo de vídeo criptografado, portanto, a proteção deve ser baseada em uma abordagem em camadas, incluindo regulamentos financeiros.